เมื่อปีที่ผ่านมา Adobe Flash มีอัพเดตโดยเพิ่มฟีเจอร์ความปลอดภัยใหม่จาก Project Zero เป็นตัวแบ่งส่วน heap (isolators of heaps) ทำให้แม้ Flash จะมีช่องโหว่แต่ก็ไม่สามารถเจาะออกไปยังระบบอื่นๆ ได้ แม้จะมีข้อจำกัดว่าใช้ได้เฉพาะในโครมรุ่น 64 บิตเท่านั้น แต่การใช้งานก็มากขึ้นเรื่อยๆ Zerodium นายหน้าค้าช่องโหว่ซอฟต์แวร์ก็ออกประกาศหาทางเจาะทะลุการป้องกันนี้แล้ว โดยตั้งรางวัล 100,000 ดอลลาร์

แนวทางการแยก heap ออกจากกันได้รับความนิยมมากขึ้นเรื่อยๆ การอัพเดตรอบเดือนธันวาคมที่ผ่านมาไมโครซอฟท์ก็เข้ามาช่วยกับอโดบีในการพัฒนาเทคนิคนี้

ไมโครซอฟท์ย้ำเส้นตายสุดท้ายหยุดซัพพอร์ต Internet Explorer ทีเดียวสามรุ่น 8, 9, 10 ในวันที่ 12 มกราคมนี้ โดยมีอัพเดตแจ้งเตือนลูกค้าว่ากำลังใช้งานรุ่นที่หมดซัพพอร์ตมาตั้งแต่เดือนที่แล้ว

สำหรับผู้ใช้ทั่วไป การใช้งานซอฟต์แวร์ที่ไม่มีซัพพอร์ตแล้วแปลว่าไมโครซอฟท์จะไม่ออกแพตช์ใหม่ให้อีกแม้จะพบช่องโหว่ความปลอดภัยเพิ่มเติมในอนาคต ผลิตภัณฑ์หลายตัวจะไม่สนใจปัญหาที่เกิดกับเบราว์เซอร์รุ่นเก่า เช่น Office 365 อาจจะมีปัญหากับเบราว์เซอร์เหล่านี้ และที่สำคัญคือหน่วยงานที่ถูกควบคุมความปลอดภัย เช่นหน่วยงานเก็บข้อมูลสุขภาพ อาจจะมีเงื่อนไขต้องใช้เฉพาะซอฟต์แวร์ที่มีซัพพอร์ตเท่านั้น

ปัญหาเราท์เตอร์ตามบ้านไม่ปลอดภัยทำให้ผู้ใช้ไม่ปลอดภัยไปด้วยเป็นปัญหาเรื้อรังทั่วโลก Alexander Graf ทดสอบโมเด็ม DOCSIS ที่เขาใช้ที่บ้านของเขาเอง และพบว่าโมเด็มเชื่อมต่อกับเครือข่ายถึงสามอินเทอร์เฟซแทนที่จะเป็นอินเทอร์เฟซเดียว โดยแยกอินเทอร์เน็ต, VoIP, และเครือข่ายแอดมิน

ที่น่าประหลาดใจคือเครือข่ายแอดมินจะจ่ายไฟล์คอนฟิกทุกครั้งผ่าน TFTP โดยเครือข่ายอาศัยหมายเลข MAC เพื่อตรวจสอบว่าควรส่งไฟล์คอนฟิกของใครมาให้บ้าง Graf พบว่าเขาสามารถขอคอนฟิกของใครก็ได้เพียงแค่ปลอมค่า MAC

นโยบายปล่อยแพตช์ความปลอดภัยรายเดือนของแอนดรอยด์มาถึงรอบเดือนมกราคม รอบนี้มีแพตช์ระดับวิกฤติ 6 รายการ ส่วนมากเป็นการยกระดับสิทธิ์การรัน ยกเว้นช่องโหว่ CVE 2015-6636 เป็นช่องโหว่การรันโค้ดจากภายนอก

ช่องโหว่ CVE 2015-6636 เป็นช่องโหว่แบบเดียวกับ Stagefright ที่เปิดให้คนร้ายสามารถส่งไฟล์สื่อเช่นวิดีโอเข้ามารันโค้ดในเครื่องได้

ช่องโหว่อื่นๆ มีความร้ายแรงต่างกันไป ช่องโหว่บางส่วนสามารถฝังมัลแวร์เอาไว้ในเครื่องได้โดยที่ไม่สามารถล้างออกไปได้ยกเว้นจะแฟลชรอมใหม่เท่านั้น

ที่งาน 32C3 งานสัมมนาแฮกเกอร์ประจำปี แฮกเกอร์สามคนได้แก่ Karsten Nohl, Fabian Bräunlein, dexter จาก SR Labs นำเสนอแนวทางการเจาะระบบรับจ่ายเงินผ่านเครื่องรับบัตรเครดิต (payment terminal) ที่สามารถเจาะระบบออกมาได้อย่างง่ายดาย

เครื่องรับบัตรเครดิตในยุโรปที่ต้องการรหัสผ่าน (PIN) เพื่อการยืนยันการจ่ายเงิน จะรับรหัสผ่านจากเจ้าของบัตร ทีมงานวิจัยสามารถแแฮกให้เครื่องรับบัตรเหล่านี้แสดงหน้าจอหลอกเพื่อให้เข้าของบัตรใส่รหัสผ่านบนเครื่องรับบัตรจริงแล้วเก็บรหัสผ่านไปใช้งานที่อื่นได้

ช่วงขึ้นปี 2016 นี้มีเหตุการณ์ DDoS ครั้งใหญ่สองครั้งติดๆ กัน ครั้งแรกคือเว็บสำนักข่าวบีบีซีที่ถูกโจมตีต่อเนื่อง การโจมตีกินเวลาสามชั่วโมงครึ่ง จากเจ็ดโมงเช้าเขตเวลา GMT ไปจนถึงช่วงสิบโมงครึ่งบริการส่วนใหญ่จึงกลับมาให้บริการได้อีกครั้ง

อีกครั้งหนึ่งคือ Linode ผู้ให้บริการเซิร์ฟเวอร์รายใหญ่ระบุว่าถูกโจมตี DDoS มาตั้งแต่ช่วงคริสต์มาส หลังจากนั้นทีมงาน Linode พบว่าคนโจมตีซื้อบริการ botnet จำนวนมากเพื่อโจมตีต่อเนื่องจนกระทั่งบริการ DNS ไม่สามารถให้บริการได้ บางครั้งปริมาณทราฟิกเกินกว่าเราท์เตอร์จะรองรับไหว

ปัญหาบัตรเอทีเอ็มหาย หรือแม้กระทั่งการลืมบัตรไว้ในเครื่องเป็นปัญหาของผู้ใช้ธนาคารทั่วโลก ตอนนี้ทาง Aeon ในญี่ปุ่นก็ประกาศจะหันไปใช้ลายนิ้วมือแทนบัตรเอทีเอ็มตั้งแต่เดือนมีนาคมนี้ โดยเริ่มทดสอบระบบในเดือนกุมภาพันธ์ที่ตู้ในสาขา Chiyoda ที่เดียวก่อน และมีแผนจะขยายบริการไปยังตู้ทั้งหมดของ Aeon 5,500 ตู้

ตู้จะขอตรวจสอบลายนิ้วมือสองนิ้วก่อนจะอนุญาตให้ทำรายการ เบื้องต้นกระบวนการโอนและถอนด้วยลายนิ้วมือจะจำกัดวงเงินไว้ 1 ล้านเยนต่อวัน ส่วนตัวสแกนลายนิ้วมือจะใช้เทคโนโลยีของ Liquid สตาร์ตอัพญี่ปุ่นที่ใช้ลายนิ้วมือในการจ่ายเงิน

อโดบีปล่อยอัพเดต Flash นอกรอบปกติ เนื่องจากช่องโหว่ CVE-2015-8651 มีรายงานว่ามีผู้ถูกโจมตีอย่างเจาะจงแล้ว

ทางอโดบีปล่อยอัพเดตช่องโหว่อื่นๆ ออกมาพร้อมกันอีกชุดใหญ่ เกือบทั้งหมดมีความเสี่ยงว่าจะทำให้แฮกเกอร์รันโค้ดในเครื่องของเหยื่อได้

ช่องโหว่ในรอบนี้ถูกส่งมาจาก Project Zero, Qihoo 360, Xuanwu LAB (Tencent), HP ZDI, และ WSEC (ผ่านทาง Chromium Vulnerability Reward Program) ยกเว้น CVE-2015-8651 ที่มีการโจมตีแล้ว ทางอโดบีลบข้อมูลผู้รายงานออกไปโดยไม่ได้แจ้งเหตุผล

ที่มา - Adobe